OCI Computeログをセキュリティ体制の一部にする (2026/07/23)
OCI Computeログをセキュリティ体制の一部にする (2026/07/23)
https://blogs.oracle.com/observability/compute-logs-security-posture-la
投稿者：Jolly Kundu | Director of Software Development - OCI Observability and Management
OCI Computeインスタンスは、組織にとって最も重要なワークロードの一部をホストすることがよくあります。これらのインスタンスは、日々の業務を支えるアプリケーション、サービス、自動化スクリプト、エージェント、およびカスタムソフトウェアを実行します。同時に、これらのインスタンスは、セキュリティチームと運用チームがホスト環境内で何が起こっているかを把握するのに役立つ貴重なアクティビティ記録を生成します。
OCI Computeの監視機能はリソースの状態、利用状況、パフォーマンスを可視化しますが、セキュリティ調査にはより詳細な情報が必要となる場合が多くあります。インスタンスへのアクセスを試みたユーザー、標的となったアカウント、権限昇格の試みがあったかどうか、そして同じパターンが複数のコンピューティングリソースで発生しているかどうかなどを把握する必要があるかもしれません。
Oracle Log Analyticsは、インフラストラクチャのメトリクスにとどまらず、ホストレベルのアクティビティを一元化されたセキュリティ監視環境に取り込むことで、可視性を拡張します。OCI Computeインスタンスのデータ追加ワークフローを使用することで、管理者は選択したコンピューティングリソースからのログ収集を設定し、セキュリティ関連イベントの分析を開始できます。ログ収集が有効になると、Oracle Log Analyticsセキュリティ監視ソリューション内のComputeダッシュボードに、アクセスアクティビティ、認証イベント、およびその他の疑わしい動作を示す指標が統合的に表示され、セキュリティチームがより効果的に調査および対応できるようになります。
セキュリティにおいてコンピューティングログが重要な理由
コンピューティングインスタンスは、オペレーティングシステムの活動、ユーザーアクセス、権限変更、スケジュールされたジョブ、パッケージの更新、エージェント、およびアプリケーションプロセスが集まる場所です。そのため、コンピューティングログはセキュリティ監視において非常に貴重な情報となります。
例えば、セキュリティチームは次のような質問に答える必要があるかもしれません。
- どのユーザーアカウントでSSHログインの試行が繰り返し失敗していますか？
- 複数のsudoコマンドの失敗は、同じユーザーまたはセッションから発生していますか？
- WindowsサーバーでRDPログインの失敗が繰り返し発生していますか？
- Windowsホスト上でアクセス制御の変更が発生しましたか？
- 不審なアクセスパターンは、特定のコンピューティングインスタンスに集中していますか？
これらは単なるインフラストラクチャの問題ではありません。セキュリティの問題でもあります。ログには、アクセス動作を理解し、潜在的なブルートフォース攻撃を調査し、権限昇格のパターンを特定するために必要なイベントの詳細情報が含まれています。
データの追加から始めましょう
ワークフローはOracle Log Analytics Administrationから始まります。管理概要から「データの追加」を選択し、「OCI Compute Instances」を選択します。
次に、Oracle Log Analyticsにログを送信するコンピューティングインスタンスを選択できます。
OCI Compute インスタンスには Oracle Cloud Agent が既にインストールされているため、セットアップではその基盤を利用してインスタンスをログ収集用に準備できます。ガイド付きフローの一環として、Oracle Log Analytics は Oracle Cloud Agent 上で Management Agent プラグインを有効にし、Management Agent 上に Oracle Log Analytics プラグインをデプロイし、自動作成された Oracle Log Analytics エンティティを確認し、エンティティがアクティブであることを確認します。
収集を構成する前に、収集するログがコンピュート インスタンス上のエージェント ユーザーに読み取り可能であることを確認してください。エージェントはアクセス権限のあるログ ファイルのみを収集できるため、ファイル権限とログの場所はオンボーディング チェックリストに含める必要があります。
次に、セキュリティ監視に関連するログソースを選択します。これには、Linux監査ログ、Linuxセキュアログ、SUDOログ、Linux Syslogログ、Linux Cronログ、Linux YUMログなどが含まれます。また、収集したデータを保存するロググループも選択します。
セットアップが完了すると、各コンピューティングインスタンスとそれに対応するOracle Log Analyticsエンティティを関連付けるマッピングファイルをダウンロードできます。これにより、チームはOracle Log Analyticsにどのクラウド リソースが反映されているかを簡単に追跡できます。
収集からセキュリティ監視へ移行する
コンピューティングログが収集されたら、次のステップはそれらを活用することです。Oracle Log Analytics Security Monitoring Solutionは、仮想クラウドネットワーク、コンピューティング、およびOCI監査向けに厳選されたダッシュボードを提供します。これらのビューを組み合わせることで、チームはネットワーク、コンピューティング、およびコントロールプレーン全体にわたるセキュリティアクティビティを監視できます。
コンピューティングセキュリティを設定するには、セキュリティ監視ソリューションを開き、コンピューティングビューに移動します。
Computeダッシュボードは、コンピューティングリソース全体におけるアクセス関連のアクティビティに焦点を当てています。これにより、チームはLinux SSHログインの失敗、Windows RDPログインの失敗、sudoアクティビティの失敗、およびWindowsアクセス制御の変更をレビューできます。これらのウィジェットは、ターゲットアカウント、繰り返しログインのプレッシャーを受けている宛先コンピューティングインスタンス、ブルートフォース攻撃の可能性、権限昇格の挙動、およびレビューが必要となる可能性のあるポリシーまたはアクセス制御の変更を特定するのに役立ちます。
ダッシュボードには、次のようなウィジェットが含まれています。
- 宛先アカウント別のSSHログイン失敗傾向
- SSHログイン失敗の傾向（宛先別）
- 複数のSUDOコマンドが失敗しました
- RDP経由でWindowsにログインする際に失敗するケース トップ10
- Windowsのアクセス制御の変更点（カテゴリ別、経時変化）
ダッシュボードから、さらに詳細な調査に進むこともできます。ウィジェットはログエクスプローラーで開いたり、最大化して確認したり、CSVファイルにエクスポートしたり、ウィジェットの背後にあるクエリを通じて検査したりできます。これにより、アナリストはダッシュボードのシグナルから基となるログレコードへとたどり着くことができます。
なぜこれが重要なのか
この流れは、ログ収集とセキュリティ調査の間のギャップを埋めるのに役立ちます。
Oracle Log Analyticsを使用すると、OCI Computeユーザーは次のことが可能になります。
- データ追加ウィザードを使用して、セキュリティ関連のコンピューティングログ収集をすばやく構成できます。
- 収集したログをLog Analyticsのエンティティおよびロググループに関連付けます。
- 生のログ検索から始めるのではなく、厳選されたセキュリティダッシュボードを使用してください。
- LinuxおよびWindowsのコンピューティングリソース全体におけるログイン失敗のアクティビティを確認する。
- sudoコマンドの失敗が繰り返されている場合や、権限昇格の試みがあった場合を検出します。
- ダッシュボードウィジェットからログエクスプローラーに切り替えて、より詳細な分析を行いましょう。
その結果、コンピューティングセキュリティ監視のためのより実用的な方法が実現します。適切なログを収集し、それらを適切なエンティティにマッピングし、コンピューティング環境全体におけるアクセス関連のアクティビティを明らかにするように設計されたダッシュボードを使用します。
コンピューティングフリートで次のステップへ進みましょう
セキュリティ監視は、コンピュートインスタンスが既に生成しているログから始まります。Oracle Log Analyticsの「データの追加」を使用してOCIコンピュートインスタンスのログ収集を設定し、セキュリティ監視ソリューションのコンピュートダッシュボードを使用してセキュリティアクティビティを確認し、疑わしいパターンを調査してください。
コメント
コメントを投稿